首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 峰会 看雪商城 证书查询
  1. 社区
  2. 软件逆向
    3. 发新帖
[求助]一个超级变态的auto病毒变种，谁能帮忙分析下
发表于: 2008-4-15 22:27 6725

[求助]一个超级变态的auto病毒变种，谁能帮忙分析下

hacktobe 活跃值
2008-4-15 22:27
6725
单位上电脑感染了auto.exe病毒，这个病毒我以前也碰到过一次，那次用filemon、regmon、冰刃、Autoruns和ProcessExplorer五个东西把它搞定了，这次不行了。上次病毒用了映像劫持，我在安全模式底下简单的把上面5个工具都重新命名了，可以使用，它的dll注入了winlogon.exe。我用ProcessExplorer把winlogon.exe把它进程冻结了，然后就相关的文件删除了。注册表隐藏文件，启动项什么的都改回来了。这次太狠了，硬盘是上的autorun.inf免疫文件夹不能删除，但是也没有了用，被病毒给重命名了，失效了。系统文件改了，进不了安全模式。工具改名了也用不了，在修改注册表关键位置，像checkvalue的值或者启动项run的值的时候注册表会被强行关闭，对于包含比较有名的安全工具像上面那几个的文件夹，打开后也被强行关闭。用ie搜索auto专杀，ie也被强行关闭，包含病毒，杀毒字样的网页也被关闭。下载了个usbkiller也被关了。火了，就装了个老毛桃pe，在pe里面把病毒文件删除了。但是这个病毒的危害原理不太清楚，谁能帮忙分析病毒，它执行之后干了些啥。exe文件在c盘的programfiles/common...记得不太清楚了。在删除前打包了一个样本，病毒文件是系统，隐藏。下载地址：
http://www.xiude.net/soft/auto病毒样本.rar
解压密码：  pediy
请在影子系统或者虚拟机底下跟踪调试，谢谢

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课

收藏
免费 ・0
支持
分享
最新回复 (6)
sudami
雪    币： 709
活跃值： (2420)
能力值： ( LV12，RANK：1010 )
在线值：
发帖
回帖
粉丝
私信
2 楼
下下来看看效果.

这么厉害啊~~~~
2008-4-15 22:57
0
cvcvxk
雪    币： 8835
活跃值： (2404)
能力值： ( LV12，RANK：760 )
在线值：
发帖
回帖
粉丝
私信
3 楼
用360机器狗专杀 5.0 轻松搞定了~~
不过好像有些东西没有运行起来~
2008-4-16 03:56
0
zjjmjtoot
雪    币： 299
活跃值： (25)
能力值： ( LV10，RANK：170 )
在线值：
发帖
回帖
粉丝
私信
4 楼
Worm.Win32.AutoRun.bfx
Detection added Dec 26 2007 17:23 GMT
Update released Dec 26 2007 20:11 GMT

似乎比较古老。
2008-4-16 08:22
0
cnnets
雪    币： 458
活跃值： (36)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
5 楼
用ARSWP这个就轻松搞定。　
2008-4-17 17:45
0
OrochiZ
雪    币： 113
活跃值： (28)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
6 楼
还好拉，现在的病毒都不让你改Boot.ini，装PE和DOS了
2008-4-18 03:45
0
sunbinjin
雪    币： 174
活跃值： (620)
能力值： ( LV4，RANK：50 )
在线值：
发帖
回帖
粉丝
私信
7 楼
有本事它就防止用光盘上的PE
2008-4-18 14:19
0
游客
登录 | 注册 方可回帖
回帖 表情 雪币赚取及消费
高级回复
返回
//